Skip to Content

Новае абнаўленне AMSI выклікае сур’ёзныя праблемы ў Exchange 2016 CU21 і Exchange 2019 CU10

Outlook завісае, лісты не адпраўляюцца і ўзнікаюць праблемы з падключэннем праз абнаўленне антывіруснага інтэрфейсу AMSI
21 ліпеня 2021 г. by
Dominic Schnur

Інтэграцыя AMSI (Antimalware Scan Interface), якая ў Exchange 2016 CU21 і Exchange 2019 CU10 мелася забяспечыць лепшую абарону, цяпер, на жаль, прыводзіць да сур’ёзных праблем пры выкарыстанні Exchange разам з рознымі антывіруснымі праграмамі.

Напрыклад, назіраюцца бясконца доўгая загрузка пры адкрыцці, у тым ліку ў Outlook, затрымкі пры адпраўцы лістоў і нават поўная страта злучэння з серверам Exchange. 

Відавочна, што так працаваць немагчыма.

На шчасце, некаторыя пастаўшчыкі антывірусных рашэнняў былі да гэтага падрыхтаваныя і прадугледзелі магчымасць адключэння AMSI. Тут мы пакажам на прыкладзе Sophos, McAfee, Bitdefender і Kaspersky, як пакласці канец гэтым праблемам.
Таксама мы раскажам, як адключыць гэтую функцыю, змяніўшы файл web.config на серверы Exchange.

Sophos

У Sophos ёсць два спосабы адключыць AMSI. Першы — непасрэдна праз праграму на кліенцкім камп’ютары, але гэта вельмі нязручна, калі праграма ўсталяваная на некалькіх прыладах. Другі — цэнтралізавана праз інтэрфейс кіравання Sophos Central. 

Odoo • Тэкст і выява

1. На канцавой прыладзе: Нават пры адключэнні на канцавой прыладзе без Sophos Central не абысціся. Спачатку ў Sophos Central трэба адключыць абарону ад несанкцыянаваных змен (Tamper Protection) для адпаведнай прылады. Для гэтага проста пракруціце старонку агляду ўніз да раздзела Tamper Protection і націсніце "View password details". Скапіюйце паказаны пароль — ён спатрэбіцца далей.
Затым на камп’ютары, дзе ўсталяваная праграма, націсніце значок Sophos у правым ніжнім куце панэлі задач. У раздзеле ўваходу адміністратара ўвядзіце пароль, скапіяваны з Sophos Central.

Odoo • Выява і тэкст

Цяпер у раздзеле «Налады» ў правым ніжнім куце вы можаце адключыць абарону AMSI.

Odoo • Выява і тэкст

2. У Sophos Central: Калі вы хочаце прымяніць гэтую наладу да ўсёй інфраструктуры, а не проста часова адключыць абарону, ніжэй вы даведаецеся, якія палітыкі для гэтага трэба абнавіць.
Спачатку ў меню навігацыі націсніце «Server Protection», бо нам трэба змяніць палітыкі абароны сервераў. Затым націсніце «Policies», каб перайсці да палітык.

(У Sophos Central у раздзеле «Server -> Policies -> Threat Protection» адключыце «AMSI Protection (Windows)».)
Odoo • Выява і тэкст
Odoo • Выява і тэкст
Нам трэба змяніць палітыку, якая ў раздзеле «Threat Protection» пазначана як «Enforced».
Odoo • Выява і тэкст
Націсніце на адпаведную палітыку і перайдзіце да яе налад («Settings»). Калі вы выкарыстоўваеце палітыку па змаўчанні, каля пункта «Use recommended settinge» будзе стаяць сіняя птушачка. Спачатку зніміце яе, каб атрымаць магчымасць змяняць налады.
Пасля гэтага пракруціце старонку ўніз  да пункта «AMSI Protection» і адключыце яго.
Націсніце на адпаведную палітыку і перайдзіце да яе налад («Settings»). Калі вы выкарыстоўваеце палітыку па змаўчанні, каля пункта «Use recommended settinge» будзе стаяць сіняя птушачка. Спачатку зніміце яе, каб атрымаць магчымасць змяняць налады.
Пасля гэтага пракруціце старонку ўніз  да пункта «AMSI Protection» і адключыце яго.
Odoo • Выява і тэкст

Цяпер застаецца толькі націснуць «Save» у правым верхнім куце і зноў працаваць у Outlook як звычайна.

McAfee

У McAfee Endpoint Security таксама дадалі адпаведную магчымасць: у наладах з’явіўся пункт, які дазваляе адключыць абарону AMSI.

Odoo • Выява і тэкст

Bitdefender

У Bitdefender гэтыя змены трэба ўносіць праз Gravityzone: асобнага пункта для AMSI тут увогуле няма. Можна толькі цалкам адключыць абарону ад шкоднасных праграм у раздзелах «Доступ», «Выкананне (Advanced Thread Control)» і «Пашыраная абарона ад эксплойтаў». Рэкамендуецца стварыць для сервера асобны профіль Exchange і адключыць у ім абарону да выхаду выпраўлення.

Kaspersky


Уключэнне і адключэнне «Абароны AMSI»


«Абарона AMSI» ўключана па змаўчанні.

Каб уключыць або адключыць «Абарону AMSI», выканайце наступныя дзеянні:

  1. Унізе галоўнага акна праграмы націсніце кнопку icon_settings.png.
  2. У акне налад праграмы выберыце раздзел Абарона → Базавая абарона → Абарона AMSI.
  3. Выкарыстоўвайце пераключальнік Абарона AMSI, каб уключыць або адключыць кампанент.
  4. Захавайце ўнесеныя змены.

    Крыніца: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Непасрэдна ў Exchange

Нарэшце, AMSI можна адключыць, змяніўшы файл web.config для MAPIoverHTTP і RPCoverHTTP непасрэдна на серверы з усталяваным Exchange. Аднак цяпер гэты спосаб больш не рэкамендуецца. Таму выкарыстоўвайце толькі апісаныя вышэй спосабы або варыянт праз Powershell. 

У выпадку Powershell запускаюць Exchange Management Shell (Powershell з пашырэннямі Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Пры гэтым задаюцца патрэбныя параметры і перазапускаецца IIS. Такім чынам праблема часова вырашаецца да выхаду канчатковага выпраўлення. 

Крыніца: https://support.sophos.com/support/s/article/KB-000042460 
Крыніца: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371